CVE-2025-12363

Podatność sklasyfikowana jako CWE-200 (Exposure of Sensitive Information to an Unauthorized Actor) polega na tym, że urządzenie ujawnia hasło e-mail w sposób dostępny dla nieuwierzytelnionego atakującego zdalnego. Wektor ataku sieciowy bez wymagań dotyczących uwierzytelnienia, interakcji użytkownika ani szczególnych warunków oznacza, że exploit może być przeprowadzony przez sieć bez żadnych uprawnień. Szczegółowy mechanizm ujawnienia (np. odpowiedź API, interfejs webowy, niezaszyfrowana transmisja) nie został sprecyzowany w opisie producenta.

Atakujący może uzyskać dostęp do hasła konta e-mail skonfigurowanego w urządzeniu, co może prowadzić do przejęcia konta pocztowego, dalszego ruchu lateralnego w sieci oraz naruszenia poufności, integralności i dostępności zarówno systemu docelowego, jak i systemów powiązanych.

Należy zastosować patche dostępne u producenta zgodnie z referencjami opublikowanymi pod adresem https://azure-access.com/security-advisories. Do czasu aktualizacji firmware zaleca się izolację urządzeń od publicznych sieci sieciowych oraz ograniczenie dostępu do nich wyłącznie do zaufanych segmentów sieci.

Azure-Access BLU-IC2 z firmware w wersji do 1.19.5 włącznie oraz Azure-Access BLU-IC4 z firmware w wersji do 1.19.5 włącznie.